Gate与Policy分工明确：Gate处理无模型的全局权限（如是否为超级管理员），Policy处理模型实例级操作（如编辑某篇文章）；用错场景会导致逻辑散乱或绕弯，实操需严格遵循命名、路径、注册等约定，并避免在Policy中耦合请求上下文。
Gate 和 Policy 到底该选哪个
不是非此即彼，而是分工明确：Gate 适合简单、动态、全局的权限判断（比如“用户能否删除任意文章”），Policy 专为模型实例级操作设计（比如“用户能否更新 $post”）。用错场景最典型的坑是：把所有逻辑塞进 Gate，结果模型相关判断散落各处、无法复用；或者硬套 Policy 去管“是否允许访问后台首页”这种无模型上下文的权限，反而绕弯。
实操建议：
- 有具体模型实例参与的操作（编辑、删除、查看某条记录）→ 优先写
Policy - 不依赖具体数据（如“是否是超级管理员”“是否已启用双因素认证”）→ 用
Gate - 多个
Policy方法共用同一判断逻辑？抽成独立Gate，再在Policy里调用它，别重复写
Policy 类注册和自动发现失效的常见原因
Laravel 默认能自动绑定 Post 模型到 PostPolicy，但一碰就失效——90% 是命名或位置不对。不是框架坏了，是约定没守牢。
检查清单：
- 类名必须严格为
ModelNamePolicy（如UserPolicy，不能是UsersPolicy或UserAuthPolicy） - 文件必须放在
app/Policies/下，且命名与类名一致（UserPolicy.php） - 模型类里没加
protected $policy = UserPolicy::class;？那得手动在AuthServiceProvider的boot()里注册：Gate::policy(User::class, UserPolicy::class); - 运行过
php artisan config:clear吗？缓存没清会导致新注册不生效
Gate::allows() 和 @can 在 Blade 中为什么返回 false
表面是权限没过，实际常卡在三件事：用户未登录、参数传错、中间件没跑完。
典型错误现象：@can('update', $post) 总是 false，但 dd(auth()->user()) 显示用户存在。
排查重点：
-
$post是 null？查数据库失败或路由模型绑定出错，@can遇到 null 参数直接返回 false，不报错 - 当前用户是 guest？
@can对未登录用户一律返回 false，连Gate回调都不会进 - 用了
auth中间件但顺序错了？比如在自定义中间件里提前修改了auth()->user()，导致@can拿到的是旧用户实例 - Policy 方法签名写成
public function update(User $user, Post $post)，但传入的是null或其他类型 → PHP 会抛TypeError，Laravel 捕获后静默转为false
Policy 方法里访问 request() 或 session() 为什么危险
Policy 的设计定位是“纯业务逻辑”，不耦合请求生命周期。一旦在里面调用 request()、session() 或 auth()，问题立马变复杂：
- 单元测试难写：你得 mock 整个请求栈，而不是只传两个对象
- 命令行场景崩掉：Artisan 命令里没有 request，
request()->ip()直接报错 - API 和 Web 共用 Policy 时行为不一致：比如根据 header 判断权限，但 CLI 调用时 header 为空
正确做法：把需要的上下文（如 IP、设备类型、请求头值）作为额外参数传进来，由 Controller 或 Form Request 提前提取好。例如：
if (Gate::allows('publish', [$post, request()->header('X-Client-Type')])) { ... }
对应 Policy 方法签名就得改成：public function publish(User $user, Post $post, string $clientType)。
真正难的从来不是写几个 return true/false，而是让权限逻辑在 Web、API、CLI、队列里都稳得住——边界划清楚了，后面才不会半夜被报警叫醒
